RIPD — Relatório de Impacto à Proteção de Dados Pessoais

Art. 38 da LGPD: documento do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.

Status regulatório (atualizado até novembro de 2026)

• A regulamentação específica do RIPD integra a Agenda Regulatória 2025–2026 da ANPD (Res. CD/ANPD nº 31/2025).
• Deliberação de setembro de 2026 (Voto nº 11/2025/DIR-MW): o Conselho Diretor da ANPD decidiu por unanimidade não aprovar e arquivar a minuta isolada do Guia Orientativo sobre Tratamento de Dados Pessoais de Alto Risco (que sugeria metodologia de pontuação em etapas e patamar preliminar de 2 milhões de titulares), determinando que os critérios de alto risco sejam consolidados de forma integrada dentro da futura norma de RIPD.
• Enquanto a resolução específica de RIPD não é publicada, utilize as balizas vigentes do Art. 38 da LGPD, do Art. 4º da Resolução CD/ANPD nº 2/2022 e das perguntas orientativas publicadas pela ANPD.

Quando elaborar um RIPD: obrigação normativa vs. boa prática preventiva

Separe sempre no relatório se o RIPD decorre de enquadramento normativo de alto risco / requisição ou de boa prática preventiva de engenharia e governança:

1. Enquadramento de Alto Risco (teste cumulativo — Res. CD/ANPD nº 2/2022, Art. 4º)

Para caracterizar alto risco segundo o parâmetro normativo vigente da ANPD, devem concorrer pelo menos UM critério geral E pelo menos UM critério específico: